EP3835821A1

EP3835821A1 - Verfahren und vorrichtung zur bestimmung einer sicheren distanz

Info

Publication number: EP3835821A1
Application number: EP19215728.7A
Authority: EP
Inventors: Lennart Kilian; Corina Kim SCHINDHELM; Stefan Schwarzer; Reinhard Hladik; Joachim Wahrbichler; Guido Schröer; Ulrike GLÄNZER
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2019-12-12
Filing date: 2019-12-12
Publication date: 2021-06-16
Also published as: WO2021115952A1; EP4055409A1; CN115038988A; US20230046478A1

Abstract

Verfahren zur Bestimmung einer sicheren Distanz nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Objekt-Transponder (T) und zumindest einem Anker-Gateway (G1-G3), welche jeweils Mittel zur Erfassung von Zeitstempeln aufweisen, dadurch gekennzeichnet, dass folgende Schritte ausgeführt werden:a) Erfassen von Sende- und Empfangs-Zeitstempeln für eine jeweilige Kommunikations-Nachricht seitens des Transponders (T) und des zumindest einen Anker-Gateways (G1-G3),b) Übertragen der jeweiligen Zeitstempel vom Transponder (T) und dem zumindest einen Anker-Gateway (G1-G3) mit zumindest einer jeweiligen Kontrollinformation an eine fehlersichere Rechenvorrichtung (F-CPU),c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung (F-CPU) ausgewählt aus:c1) Überprüfung der Richtigkeit der jeweiligen Zeitstempel anhand der zumindest einen Kontrollinformation,c2) Überprüfung der errechneten Zeitdauer für die Bearbeitungszeiten des Transponders (T) und jener des zumindest einen Anker-Gateways (G1-G3) anhand bekannter Erfahrungswerte,d) Bestimmen der sicheren Distanz mithilfe der überprüften Zeitstempel durch die fehlersichere Rechenvorrichtung (F-CPU),wobei bei der Erfassung der Zeitstempel Zeitstempel-Fehler nur durch den Transponder (T) oder alternativ nur durch das eine Anker-Gateway (G1-G3) hervorgerufen werden.

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Bestimmung einer sicheren Distanz nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Objekt-Transponder und zumindest einem Anker-Gateway, welche jeweils Mittel zur Erfassung von Zeitstempeln aufweisen.
In Produktionssystemen werden häufig Schutzzäune zum Personenschutz eingesetzt, um beispielsweise Bedienungspersonal oder bewegte Objekte vor einem, in Betrieb befindlichen, bewegten Montage-Roboterarm zu schützen.
Schutzzäune benötigen allerdings Platz in der Produktionsanlage und können den Zugang zu Anlagen erschweren. Damit sind indirekt Produktionskosten verbunden, welche einen wirtschaftlichen Betrieb eines Produktionssystems unerwünscht beeinträchtigen.
Beispielsweise kann mit einer Laserentfernungsmessung oder visueller Erkennung mit Kameras ein virtueller Schutzzaun für gefährliche Produktionsmaschinen realisiert werden, was jedoch in der Regel sehr aufwändig, unflexibel und teuer ist.
Die Lokalisierung eines drahtlos kommunizierenden Objekt-Transponders, also die Berechnung einer absoluten Position im Raum (2D oder 3D) durch ein funkbasiertes Lokalisierungssystem mit Standardkomponenten gilt im Stand der Technik allerdings als unsicher.
Die berechnete Position kann durch Hardware- und/oder Software-Fehler der zum Einsatz kommenden Komponenten oder durch physikalische Effekte, welche beispielsweise durch den Funckanal hervorgerufen werden können, verfälscht werden.
Solche Effekte können durch Funkkanäle, welche auf keiner direkten Sichtverbindung basieren, hervorgerufen werden. Durch Signalreflektionen kann es zu Mehrwegausbreitung und in weiterer Folge zum Mehrfachempfang desselben Sendesignals, jedoch mit unterschiedlichen Laufzeiten kommen.
Eine Verbesserung der Laufzeitmessung kann durch das bekannte TWR-Verfahren (englisch "Two Way Ranging", Zweiwege-Entfernungsmethode) erreicht werden. Die Zweiwege-Entfernungsmethode bestimmt die Signallaufzeit (Flugzeit) des UWB-HF-Signals und berechnet dann die Entfernung zwischen den Knoten, indem die Zeit mit der Lichtgeschwindigkeit multipliziert wird. Der TWR-Prozess wird zwischen einem Transponder und einem angeforderten Anker angewendet, es soll zu einem bestimmten Zeitpunkt nur ein Anker am TWR beteiligt sein. Unter einem Anker wird eine stationäre Funkeinheit mit bekannter Position verstanden.
Es ist jedoch derzeit kein Ortungsverfahren mithilfe eines Funksystems bekannt, mit welchem sicherheitsrelevante Aufgaben, wie beispielsweise der Verzicht auf Schutzzäune bei Produktionsanlagen, realisiert werden können, da die Bestimmung insbesondere der Übertragungsparameter eines Funkkanals nicht hinreichend verlässlich ist, um beispielsweise in einem Produktionssystem eingesetzt zu werden und bei einem unerwünschten Eingriff das Produktionssystem abzuschalten und dadurch die Personen- bzw. Objektsicherheit zu gewährleisten.
Es ist Aufgabe der Erfindung ein Verfahren und eine Vorrichtung zur Bestimmung einer sicheren Distanz zwischen einem drahtlos kommunizierenden Objekt-Transponder und einem Anker-Gateway bereitzustellen.
Dabei kann der drahtlos kommunizierende Objekt-Transponder beispielsweise von einer Person, das heißt dem Bedienungspersonal, getragen werden. Natürlich kann auch ein Objekt, wie ein autonom fahrendes Fahrzeug mit einem Objekt-Transponder ausgestattet sein, um dieses Fahrzeug beispielsweise vor einer Kollision zu schützen.
Die Schutzzone ist eine virtuelle Zone, durch welche sichergestellt werden kann, dass bei Eingriff in diese Zone ein Schutzmechanismus aktiviert wird, beispielsweise indem des eingreifenden Objekts wie ein Roboterarm unmittelbar gestoppt wird. Mit anderen Worten beschreibt der Schutzradius der Schutzzone jenen minimalen Radius, in welche sich der Transponder mit Sicherheit befindet, das heißt verlässlich nicht außerhalb befindet.
Dadurch können beispielsweise große Anlagen ohne Schutzzäune realisiert werden, in denen gefährliche Maschinen automatisch abgeschaltet werden, wenn sich ein Arbeiter, der mit einem Objekt-Transponder ausgestattet ist, der Maschine soweit nähert, dass der Schutzradius den gefährlichen Bereich schneidet. Dies ist günstig, da nur jener Teil der Anlage mit der betroffenen Maschine und nicht die ganze Anlage von der Sicherheitsmaßnahme betroffen ist.
Eine fehlersicher arbeitende Recheneinheit (F-CPU) als sicherheitszertifizierte Komponente führt beispielweise mittels zweier unabhängiger Rechenvorrichtungen jeweils die gleichen Rechenoperationen aus, vergleicht deren Ergebnisse miteinander und stellt bei einer Übereinstimmung ein als sicher geltendes Ergebnis bereit. Eine fehlersicher arbeitende Recheneinheit kann sicherheits-relevante und nicht-sicherheits-relevante Anwendungsprogramme ausführen und ist bis zu SIL3 gemäß IEC 61508 und Cat4 PLd gemäß ISO 13849-1 zertifiziert.
Die IEC 61508 ist eine internationale Normenserie zur Entwicklung von elektrischen, elektronischen und programmierbaren elektronischen Systemen, die eine Sicherheitsfunktion ausführen. Sie wird von der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben und trägt den Titel Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme.
Die Norm EN ISO 13849 ist eine sicherheitsspezifische Norm, welche sich mit Gestaltungsleitsätzen zu sicherheitsbezogenen Teilen von Steuerungen beschäftigt.
Die erfindungsgemäße Aufgabe wird durch ein Verfahren eingangs genannter Art gelöst, wobei folgende Schritte ausgeführt werden:

a) Erfassen von Sende- und Empfangs-Zeitstempeln für eine jeweilige Kommunikations-Nachricht seitens des Transponders und des einen Anker-Gateways,
b) Übertragen der jeweiligen Zeitstempel vom Transponder und dem einen Anker-Gateway mit zumindest einer jeweiligen Kontrollinformation an eine fehlersichere Rechenvorrichtung, wobei die Kontrollinformation vorzugsweise eine Paritätsinformation ist
c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung ausgewählt aus:
- c1) Überprüfung der Richtigkeit der jeweiligen Zeitstempel anhand der zumindest einen Kontrollinformation,
- c2) Überprüfung der errechneten Zeitdauer für die Bearbeitungszeiten des Transponders und jener des einen Anker-Gateways anhand bekannter Erfahrungswerte,
d) Bestimmen der sicheren Distanz mithilfe der überprüften Zeitstempel durch die fehlersichere Rechenvorrichtung.

Dadurch wird erreicht, dass die zu bestimmende Distanz fehlersicher berechnet wird, da jede Rechenoperation zur Bestimmung der Distanz in einer fehlersicher arbeitenden Rechenvorrichtung durchgeführt werden. Die Erfassung der Basisdaten, das heißt der Zeitstempel erfolgt durch den Transponder beziehungsweise die Anker-Gateways und die Übertragung der Zeitstempel wird durch eine jeweilige Kontrollinformation gesichert. Daher kann beispielsweise ein Fehler bei der Erzeugung, der Übertragung und der Berechnung festgestellt werden und eine Warnung ausgegeben werden, dass die Sicherheit einer durchgeführten Berechnung aktuell nicht sichergestellt ist.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass ein Indikatorwert für eine sichere Distanzmessung durch folgenden Zusammenhang mittels der fehlersicheren Rechenvorrichtung ermittelt wird, welcher ein Maß für die Sicherheit der berechneten sicheren Distanz ist: $safe_twr_value = \frac{(T_{Round 1} - T_{GW_REPLY}) - (T_{Round 2} - T_{TAG_REPLY})}{2}$
wobei $T_{Round 1} = 2 \cdot TOF + T_{GW_REPLY}$
$T_{Round 2} = 2 \cdot TOF + T_{TAG_REPLY}$
$T_{GW_REPLY} = {TS}_{GW_TX_RESP} - {TS}_{GW_RX_POLL}$
$T_{TAG_REPLY} = {TS}_{TAG_TX_FINAL} - {TS}_{TAG_RX_RESP}$
Dadurch kann auf eine einfache Weise festgestellt werden, dass die Erzeugung der Zeitstempel plausibel erfolgt ist.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass der drahtlosen Kommunikation zwischen dem Objekt-Transponder und dem einen Anker-Gateway für eine Lokalisierungs-Abfrage eine Abfrage-, eine Antwort- und eine End-Nachricht versendet und empfangen wird.
Dadurch kann das Verfahren auf ein einfaches und bekanntes Verfahren zur Zwei-Wege-Vermessung aufbauen.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass eine Vorgangsnummer von der fehlersicheren Rechenvorrichtung erzeugt wird, welche mit der Antwort-Nachricht übertragen wird.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass die Vorgangsnummer eine Zufallszahl ist.
Dadurch wird die Manipulationssicherheit erhöht, da die Kenntnis der Zahl vonnöten ist, um sie einem Anker-Gateway zuordnen zu können.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass die Kontrollinformation eine Paritätsinformation ist.
Dadurch wird eine technisch einfache Umsetzung erreicht, bei welcher Fehler oder Manipulationen bei der Übertragung der Zeitstempel entdeckt werden können, ohne die Zeitstempel selbst zu manipulieren, wie dies beispielsweise bei einer Verschlüsselung auftreten könnte und im Widerspruch zum erfindungsgemäßen Ansatz steht, dass Berechnungen nur von einer fehlersicheren Rechenvorrichtung ausgeführt werden.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass bei der Berechnung der Kontrollinformation eine Kommunikations-Adresse des Objekt-Transponders oder des zumindest einen Anker-Gateways berücksichtigt wird.
Dadurch wird die Manipulationssicherheit weiter erhöht, da eine zusätzliche Überprüfung der im System bekannten Anker-Gateways erfolgen kann.
In einer Weiterbildung der Erfindung ist es vorgesehen, dass zu einem ersten und einem zweiten Zeitpunkt jeweils sichere Distanzen bestimmt werden, aus welchen eine Bewegungsgeschwindigkeit des Transponders ermittelt wird, und die Bewegungsgeschwindigkeit mit einem vordefinierten Grenzwert verglichen wird.
Dadurch wird eine weitere Plausibilisierung der Distanzmessungen erreicht und die Zuverlässigkeit des Verfahrens weiter gesteigert.
Die Aufgabe der Erfindung wird auch durch eine Vorrichtung eingangs genannter Art gelöst, welche dazu eingerichtet ist, die Schritte des erfindungsgemäßen Verfahrens auszuführen.
Die Erfindung wird nachfolgend anhand von in den beigeschlossenen Zeichnungen dargestellten Ausführungsbeispiele näher erläutert. In den Zeichnungen zeigt:

Fig. 1: ein Ausführungsbeispiel für ein Warn- und Schutzsystem,
Fig. 2: ein Beispiel für ein erfindungsgemäßes Ablaufdiagramm zur sicheren Bestimmung der Distanz,
Fig. 3: ein Beispiel für eine Abfrage-Nachricht,
Fig. 4: ein Beispiel für eine TWR-Antwort-Nachricht,
Fig. 5: ein Beispiel für eine erfindungsmäße Antwort-Nachricht,
Fig. 6: ein Beispiel für eine TWR-End-Nachricht,
Fig. 7: ein Beispiel für eine erfindungsmäße End-Nachricht.

In Fig. 1 ist ein Ausführungsbeispiel für ein Warn- und Schutzsystem dargestellt.
Von einem Objekt-Transponder oder "Tag" T, welcher beispielsweise von einer Person P am Körper getragen wird, wird ein jeweiliges Abfrage-Signal P1-P3 in einen Funkkanal abgestrahlt, welches eine Abfrage Nachricht MP (englisch "Poll") umfasst.
Das jeweilige Abfrage-Signal P1-P3 wird vom jeweiligen Gateway G1-G3 vom Funkkanal empfangen, weiterverarbeitet und als jeweiliges Antwort-Signal R1-R3 wieder abgestrahlt, welches eine jeweilige Antwort-Nachricht MR (englisch "response") umfasst.
Die Antwort-Signale R1-R3 werden vom Objekt-Transponder T empfangen, weiterverarbeitet und als jeweiliges End-Signal F1-F3 wieder in den Funkkanal abgestrahlt, welches die jeweilige Antwort-Nachricht MF (englisch "final") umfasst.
Die End-Signale F1-F3 werden vom jeweiligen Gateway G1-G3 empfangen und an eine fehlersicher rechnende Rechenvorrichtung F-CPU übergeben, welche den Schutzradius r_P einer Schutzzone S bestimmt.
Wenn sich ein Gefahrensystem beispielsweise in Form einer Produktionsanlage in Betrieb befindet, und dabei ein Roboter-arm R der Produktionsanlage in die Schutzzone S eingreift, wird für den Roboterarm ein Abbruchvorgang für dessen Betrieb ausgelöst, wodurch der Roboterarm unverzüglich zum Stillstand kommt.
Der Eingriff in die Schutzzone S kann beispielsweise dadurch erfolgen, dass sich die Person P dem Roboterarm R unerlaubt nahe annähert, und der Personenschutz nicht mehr sicher gewährleistet ist.
Ein Verfahren zur Bestimmung einer sicheren Distanz d_TWR nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Objekt-Transponder T und zumindest einem Anker-Gateway G1-G3, welche jeweils Mittel zur Erfassung von Zeitstempeln aufweisen, wird im Weiteren anhand eines Ausführungsbeispiels der Erfindung beschrieben.
Allgemein werden dabei folgende Schritte ausgeführt:

a) Erfassen von Sende- und Empfangs-Zeitstempeln TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL} für eine jeweilige Kommunikations-Nachricht seitens des Transponders T und des zumindest einen Anker-Gateways G1-G3,
b) Übertragen der jeweiligen Zeitstempel TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP} , TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL} vom Transponders T und dem zumindest einen Anker-Gateway G1-G3 mit zumindest einer jeweiligen Kontrollinformation CRC1, CRC2, beispielsweise eine Paritätsinformation, an eine fehlersichere Rechenvorrichtung F-CPU,
c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung (F-CPU) ausgewählt aus:
- c1) Überprüfung der Richtigkeit der jeweiligen Zeitstempel TS_{TAG_TX_POLL}, TS_{GW_RX_POLLn} TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL} anhand der zumindest einen Kontrollinformation CRC1, CRC2,
- c2) Überprüfung der errechneten Zeitdauer für die Bearbeitungszeiten des Transponders T und jener des zumindest einen Anker-Gateways G1-G3 anhand bekannter Erfahrungswerte,
d) Bestimmen der sicheren Distanz d_TWR mithilfe der überprüften Zeitstempel TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL} durch die fehlersichere Rechenvorrichtung F-CPU,

_{TAG_TX_POLL}

_{GW_RX_POLL}

_{GW_TX_RESP}

_{TAG_RX_RESP}

_{TAG_TX_FINAL}

_{GW_RX_FINAL}

Daraus kann ein Indikatorwert safe_twr_value für eine sichere Distanzmessung durch folgenden Zusammenhang mittels der fehlersicheren Rechenvorrichtung F-CPU ermittelt wird, welcher ein Maß für die Sicherheit der berechneten sicheren Distanz d_TWR ist: $safe_twr_value = \frac{(T_{Round 1} - T_{GW_REPLY}) - (T_{Round 2} - T_{TAG_REPLY})}{2}$
wobei $T_{Round 1} = 2 \cdot TOF + T_{GW_REPLY}$
$T_{Round 2} = 2 \cdot TOF + T_{TAG_REPLY}$
$T_{GW_REPLY} = {TS}_{GW_TX_RESP} - {TS}_{GW_RX_POLL}$
$T_{TAG_REPLY} = {TS}_{TAG_TX_FINAL} - {TS}_{TAG_RX_RESP}$
Während der drahtlosen Kommunikation wird zwischen dem Objekt-Transponder T und dem zumindest einen Anker-Gateway G1-G3 für eine Lokalisierungs-Abfrage eine Abfrage-, eine Antwort- und eine End-Nachricht MP, MR, MF versendet und empfangen.
Außerdem kann eine Vorgangsnummer RNR von der fehlersicheren Rechenvorrichtung F-CPU erzeugt werden, welche mit der Antwort-Nachricht MR übertragen wird. Die Vorgangsnummer RNR ist beispielsweise eine Zufallszahl.
Bei der Berechnung der Kontrollinformation CRC1, CRC2 kann ferner eine Adresse des Objekt-Transponder T oder des zumindest einen Anker-Gateway G1-G3 berücksichtigt werden.
Fig. 2 stellt ein Beispiel für ein Ablaufdiagramm zur Bestimmung der sicheren Distanz d_TWR dar, anhand dessen die Erfindung im Detail beschrieben wird.
Eine sichere Distanz ist eine Entfernung, welche ohne systemische Fehler bei einer Laufzeitmessung ermittelt wird.
Unerwünschte Einflüsse, beispielsweise durch eine schwankende oder ungenaue Zeitbasis, welche bei einer Laufzeitmessung von Signalen auftreten können, werden durch eine entsprechende "sichere" Berechnung systemisch ausgeschlossen.
Die Position des Objekt-Transponders T (auch englisch "tag") in einem dreidimensionalen Raum soll gemäß den weiteren Ausführungen ermittelt werden, wobei die Anker- beziehungsweise Gateway-Transponder G1, G2, G3 mit bekannter Position herangezogen werden.
Die Abfragenachricht MP wird am Transponder T beziehungsweise Tag zu einem Zeitpunkt mit einem Zeitstempel TS_{TAG_TX_POLL} abgesendet und am jeweiligen Anker-Gateway G1-G3 zu einem Zeitpunkt mit einem Zeitstempel TS_{GW_RX_POLL} empfangen.
Die Übertragung der Abfragenachricht MP im Funkkanal zwischen dem Transponder T und dem jeweiligen Gateway der drei Gateways G1-G3 benötigt eine Dauer TOF₁ (englisch "time-offlight").
Die Abfragenachricht MP wird vom Anker-Gateway innerhalb einer Zeitspanne T_{GW_REPLY} verarbeitet und eine entsprechende Antwortnachricht MR vom Anker-Gateway zum Transponder T zu einem Zeitpunkt mit einem Zeitstempel TS_{GW_TX_RESP} gesendet und am Tag zu einem Zeitpunkt mit einem Zeitstempel TS_{TAG_RX_RESP} empfangen.
Die Zeitspanne T_{GW_REPLY} wird durch den Takt des Gateway-Komponenten T_{GW_CLK} bestimmt und ist innerhalb gewisser und bekannter Grenzen bekannt.
Somit kann angegeben werden: $T_{GW_REPLY} = {TS}_{GW_TX_RESP} - {TS}_{GW_RX_POLL}$
Die Zeitspanne T_Round1 bezeichnet die Signallaufzeit zwischen dem Zeitstempel TS_{TAG_TX_POLL} und dem Zeitstempel TS_{TAG_RX_RESP}. $T_{Round 1} = {TS}_{TAG_RX_RESP} - {TS}_{TAG_TX_POLL}$
Die Übertragung im Funkkanal benötigt die Dauer TOF₂. Falls der Transponder T nicht bewegt wurde, entspricht TOF₁ = TOF₂. Die Antwortnachricht MR wird vom Tag innerhalb einer Zeitspanne T_{TAG_REPLY} verarbeitet und eine entsprechende Endnachricht MF vom Anker-Gateway zum Transponder T zu einem Zeitpunkt mit einem Zeitstempel TS_{TAG_TX_FINAL} gesendet.
Die Zeitspanne T_{TAG_REPLY} wird durch den Takt des Gateway-Komponenten T_{TAG_CLK} bestimmt und ist innerhalb gewisser und bekannter Grenzen bekannt.
Die Übertragung im Funkkanal benötigt die Dauer TOF₃. Falls der Transponder T nicht bewegt wurde, entspricht TOF₁ = TOF₂ = TOF₃.
Das Anker-Gateway empfängt die Endnachricht MF zu einem Zeitpunkt mit einem Zeitstempel TS_{GW_RX_FINAL}.
Die Zeitspanne T_Round2 bezeichnet die Signallaufzeit zwischen dem Zeitstempel TS_{GW_TX_RESP} und dem Zeitstempel TS_{GW_RX_FINAL}. $T_{Round 2} = {TS}_{GW_RX_FINAL} - {TS}_{GW_TX_RESP}$
Somit kann angegeben werden: $T_{TAG_REPLY} = {TS}_{TAG_TX_FINAL} - {TS}_{TAG_RX_RESP}$
Die Zeitstempel werden von einem Tag-Zähler CT im Objekt-Transponder beziehungsweise einem Gateway-Zähler CG im Anker-Transponder erfasst.
Aus den ermittelten Laufzeiten kann die Signallaufzeit im Funkkanal TOF = TOF₁ = TOF₂ = TOF₃ und über die Lichtgeschwindigkeit c die entsprechende Distanz d_TWR bestimmt werden. $TOF = \frac{T_{Round 1} \cdot T_{Round 2} - T_{GW_REPLY} \cdot T_{TAG_REPLY}}{T_{Round 1} + T_{Round 2} + T_{GW_REPLY} + T_{TAG_REPLY}}$
$d_{TWR} = c \cdot TOF$
Die Rechenvorrichtung F-CPU kann nun einen ersten Fehler erkennen, sofern die für die Distanzberechnung benötigten Zeitstempel des Transponders und der Gateways falsifiziert werden.
Dabei wird angenommen, dass nur Fehler seitens des Transponders T oder alternativ nur Fehler seitens eines der Gateways G1-G3 zur selben Zeit passieren, und nicht Fehler seitens des Transponders und eines Gateways gleichzeitig.
Unter einem systemischen Fehler wird ein Fehler verstanden, welcher die Erzeugung oder Erfassung von Zeitstempeln ungünstig beeinflusst, beispielsweise eine unerwünscht abweichende Zeitbasis in einem elektronischen Bauteil, welche durch wechselnde Temperatur, Alterung, Bauteiltoleranzen oder ähnliches hervorgerufen werden kann. Ein solcher Fehler kann zwischen einzelnen Komponenten in einem System, wie dem Transponder T und einem Gateway G1-G3 auftreten, indem sich eine lokale Zeitbasis in Form einer Takterzeugung für eine digitale Elektronikschaltung ungleichmäßig verändert.
Zeitstempel oder eine Drift eines jeweiligen Zeitgeber-Takts in einer Komponente wie dem Transponder T1 oder den Gateways G1-G3 sind voneinander unabhängig. Folglich beeinflusst ein Fehler nur den eigenen Zeitstempel und nicht jenen der anderen Komponenten.
TWR verfügt über eine integrierte Fehlererkennung. Dabei wird von folgenden Zusammenhängen ausgegangen: $T_{Round 1} = 2 \cdot TPF + T_{GW_REPLY}$
$T_{Round 2} = 2 \cdot TOF + T_{TAG_REPLY}$
Eine Abweichung von TOF durch Fehler im Transponder oder im Gateway kann nun berechnet werden durch $safe_twr_value = \frac{(T_{Round 1} - T_{GW_REPLY}) - (T_{Round 2} - T_{TAG_REPLY})}{2}$
Ein TWR-Ergebnis ist für safe_twrvalue < safe_twr_value_limit mit safe_twr_value_limit = 825 ps gültig, ansonsten ist das Ergebnis ungültig.
Mit dem Wert safe_twr_value_limit = 825 ps ist eine Takt-Drift für den Transponder mit < ±200 ppm beschränkt.
In der Figur ist ferner ein Programm P_T des Transponders T mit Verfahrensschritten PT1-PT3 für den Transponder T als Teil des Ablaufdiagramms vereinfacht dargestellt.
Außerdem ist ein Programm P_G eines jeweiligen Gateways G1-G3 mit Verfahrensschritten PG1-PG3 für das jeweilige Gateway G1-G3 erkennbar, sowie ein Programm P_F der fehlersicher rechnenden Vorrichtung F-CPU mit Verfahrensschritten PF1-PF4 für die Rechenvorrichtung F-CPU.
Im Schritt PT1 wird die Abfrage-Nachricht MP durch den Transponder T initiiert und gesendet.
Das jeweilige Gateway empfängt im Schritt PG1 die Abfrage-Nachricht MP und bestimmt den Sendezeitpunkt für die Antwortnachricht MR.
Im Schritt PF1 wird eine Zufallszahl RNR durch die fehlersicher rechnende Vorrichtung F-CPU erzeugt und an das jeweilige Gateway gesendet.
Das Gateway sendet eine Antwort-Nachricht MR im Schritt PG2 an den Transponder T, welche die Zufallszahl RNR enthält.
Die Antwort-Nachricht MR wird im Schritt PT2 durch den Transponder T empfangen und der Sendezeitpunkt für die End-Nachricht MF errechnet.
Der Transponder T bestimmt im Schritt PT3 aus den Zeitstempeln und der Adresse des Transponders T, und der Zufallszahl eine erste Prüfsumme CRC1 und sendet eine End-Nachricht MF vom Transponder T an das Gateway, welche die erste Prüfsumme CRC1 enthält.
Im Schritt PG3 empfängt das Gateway die End-Nachricht MF und bestimmt aus den Zeitstempeln und der Adresse des Gateways und der ersten Prüfsumme CRC1 eine zweite Prüfsumme CRC2 und übermittelt die Zeitstempel und die Adresse des Gateways und des Transponders T, sowie die zweite Prüfsumme CRC2 an die Vorrichtung F-CPU.
Im Schritt PF2 errechnet die Vorrichtung F-CPU eine dritte Prüfsumme CRC3 und vergleicht sie mit der zweiten Prüfsumme CRC2.
Im Schritt PF3 errechnet die Vorrichtung F-CPU einen sicheren Wert safe_twr_value für die Entfernung zwischen dem Gateway und dem Transponder T mittels des TWR-Verfahrens und überprüft die Werte auf Plausibilität.
Im Schritt PF4 errechnet die Vorrichtung F-CPU die gesuchte sichere Distanz anhand des vorhergehenden Zusammenhangs hinsichtlich der Signallaufzeit im Funkkanal TOF.
Fig. 3 stellt beispielhaft eine Abfrage-Nachricht MP_TWR nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MPSN, eine Ziel-Adresse MPZA, eine Quell-Adresse MPQA und einen Funktions-Code MPFC umfasst, und beispielsweise auch als Abfrage-Nachricht MP im erfindungsgemäßen Verfahren verwendet werden kann.
Fig. 4 stellt beispielhaft eine Antwort-Nachricht MR_TWR nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MRSN, eine Ziel-Adresse MRZA, eine Quell-Adresse MRQA und einen Funktions-Code MRFC umfasst.
Fig. 5 stellt beispielhaft die erfindungsgemäße Antwort-Nachricht MR dar, welche Datenelemente für eine Sequenznummer MRSN, eine Ziel-Adresse MRZA, eine Quell-Adresse MRQA und einen Funktions-Code MRFC umfasst. Der Funktions-Code MRFC kann sich vom Stand der Technik unterscheiden.
Zusätzlich ist die Zufallszahl RNR enthalten.
Fig. 6 stellt beispielhaft die End-Nachricht MF nach dem Stand der Technik für TWR dar, welche Datenelemente für eine Sequenznummer MFSN, eine Ziel-Adresse MFZA, eine Quell-Adresse MFQA und einen Funktions-Code MFFC umfasst. Der Funktions-Code MFFC kann sich von jenem aus dem Stand der Technik unterscheiden.
Zusätzlich weist die End-Nachricht MF ein Datenelement für eine Zeitdifferenz MFRXTX auf, welche die Zeitdauer zwischen dem Absenden der Abfrage-Nachricht MP und dem Empfangen der Antwort-Nachricht MR seitens des Transponders T bezeichnet.
Außerdem weist die End-Nachricht MF ein Datenelement für eine Zeitdifferenz MFTXRX auf, welche die Zeitdauer zwischen dem Empfangen der Antwort-Nachricht MR und dem Absenden der End-Nachricht MF seitens des Transponders T bezeichnet.
Fig. 7 stellt beispielhaft die erfindungsgemäße End-Nachricht MP dar, welche Datenelemente für eine Sequenznummer MPSN, eine Ziel-Adresse MPZA, eine Quell-Adresse MPQA und einen Funktions-Code MPFC umfasst. Der Funktions-Code MFFC kann sich von jenem aus dem Stand der Technik unterscheiden.
Die End-Nachricht MP enthält ferner jeweils ein Datenelement in Form eines Zeitstempels für einen Abfrage-Sendezeitpunkt MF_PTX, einen Antwort Empfangszeitpunkt MF_RRX, sowie einen End-Sendezeitpunkt MF_FTX.
Außerdem weist die End-Nachricht MP die erste Prüfsumme CRC1 auf, welche über die Zeitstempel des Transponders T und über die Zufallszahl RNR gebildet ist.

Bezugszeichenliste:

CG: Zähler Anker-Transponder
CRC1, CRC2: Prüfsumme
CT: Zähler Objekt-Transponder
dTWR: sichere Distanz
F-CPU: fehlersichere Rechenvorrichtung
F1-F3: End-Signal
G1, G2, G3: Ankerpunkte, Gateway
GS: Gefahrensystem
M: Übertragungs-Medium, Funkkanal
MP, MP_TWR: Abfrage-Nachricht, "Pull"
MR, MR_TWR: Antwort-Nachricht, "Response"
MF_TWR: End-Nachricht, "Final"
MPSN, MRSN, MFSN: fortlaufende Nummer, Sequenznummer
MPZA, MRZA, MFZA: Ziel-Adresse
MPQA, MRQA, MFQA: Quell-Adresse
MPFC, MRFC, MFFC: Funktions-Code
MFRXTX, MFTXRX: Zeitdifferenz
MF_PTX, MF_RRX, MF_FTX: Zeitpunkt
P: Person mit Objekt-Transponder
P_F-CPU, P_G, P_T: Verfahren, Programm
PF1-PF4: Verfahrensschritte in der F-CPU
PG1-PG3: Verfahrensschritte im Gateway
PT1-PT3: Verfahrensschritte im Transponder/ Tag
P1-P3: Abfrage-Signal
R: Roboter-Arm
RNR: Zufallszahl, "random number"
R1-R3: Antwort-Signal
S: Schutzzone
SS: Schutzsystem
T: Objekt-Transponder
TOF, TOFG1, TOFG2, TOFG3: "Time-of-Flight"- Signallaufzeit
TSTAG_TX_POLL, TSTAG_RX_RESP, TSTAG_TX_FINAL, TSGW_RX_POLL, TSGW_TX_RESP, TSGW_RX_FINAL: Zeitstempel
TTAG_REPLY, TTAG_CLK, TGW_REPLY, TGW_CLK, TRound1, TRound2: Signallaufzeit
TWR: "Two-Way-Ranging"-Verfahren
WS: Warnsystem

Claims

Verfahren zur Bestimmung einer sicheren Distanz (d_TWR) nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Objekt-Transponder (T) und zumindest einem Anker-Gateway (G1-G3), welche jeweils Mittel zur Erfassung von Zeitstempeln aufweisen, dadurch gekennzeichnet, dass folgende Schritte ausgeführt werden:
a) Erfassen von Sende- und Empfangs-Zeitstempeln (TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL}) für eine jeweilige Kommunikations-Nachricht seitens des Transponders (T) und des zumindest einen Anker-Gateways (G1-G3),

b) Übertragen der jeweiligen Zeitstempel (TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL}) vom Transponder (T) und dem zumindest einen Anker-Gateway (G1-G3) mit zumindest einer jeweiligen Kontrollinformation (CRC1, CRC2) an eine fehlersichere Rechenvorrichtung (F-CPU),

c) Durchführen von zumindest einer Überprüfung durch die fehlersichere Rechenvorrichtung (F-CPU) ausgewählt aus:
c1) Überprüfung der Richtigkeit der jeweiligen Zeitstempel (TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL}) anhand der zumindest einen Kontrollinformation (CRC1, CRC2),

c2) Überprüfung der errechneten Zeitdauer für die Bearbeitungszeiten des Transponders (T) und jener des zumindest einen Anker-Gateways (G1-G3) anhand bekannter Erfahrungswerte,

d) Bestimmen der sicheren Distanz (d_TWR) mithilfe der überprüften Zeitstempel (TS_{TAG_TX_POLL}, TS_{GW_RX_POLL,} TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL}) durch die fehlersichere Rechenvorrichtung (F-CPU),
wobei bei der Erfassung der Zeitstempel (TS_{TAG_TX_POLL}, TS_{GW_RX_POLL}, TS_{GW_TX_RESP}, TS_{TAG_RX_RESP}, TS_{TAG_TX_FINAL}, TS_{GW_RX_FINAL}) Zeitstempel-Fehler nur durch den Transponder (T) oder alternativ nur durch das eine Anker-Gateway (G1-G3) hervorgerufen werden.
Verfahren nach dem vorhergehenden Anspruch, wobei ein Indikatorwert (safe_twr_value) für eine sichere Distanzmessung durch folgenden Zusammenhang mittels der fehlersicheren Rechenvorrichtung (F-CPU) ermittelt wird, welcher ein Maß für die Sicherheit der berechneten sicheren Distanz (d_TWR) ist: $safe_twr_value = \frac{(T_{Round 1} - T_{GW_REPLY}) - (T_{Round 2} - T_{TAG_REPLY})}{2}$
wobei $T_{Round 1} = 2 \cdot TOF + T_{GW_REPLY}$
$T_{Round 2} = 2 \cdot TOF + T_{TAG_REPLY}$
$T_{GW_REPLY} = {TS}_{GW_TX_RESP} - {TS}_{GW_RX_POLL}$
$T_{TAG_REPLY} = {TS}_{TAG_TX_FINAL} - {TS}_{TAG_RX_RESP}$
Verfahren nach einem der vorhergehenden Ansprüche, wobei der drahtlosen Kommunikation zwischen dem Objekt-Transponder (T) und dem zumindest einen Anker-Gateway (G1-G3) für eine Lokalisierungs-Abfrage eine Abfrage-, eine Antwort- und eine End-Nachricht (MP, MR, MF) versendet und empfangen wird.
Verfahren nach dem vorhergehenden Anspruch, wobei eine Vorgangsnummer (RNR) von der fehlersicheren Rechenvorrichtung (F-CPU) erzeugt wird, welche mit der Antwort-Nachricht (MR) übertragen wird.
Verfahren nach dem vorhergehenden Anspruch, wobei die Vorgangsnummer (RNR) eine Zufallszahl ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Kontrollinformation (CRC1, CRC2) eine Paritätsinformation ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei bei der Berechnung der Kontrollinformation (CRC1, CRC2) eine Kommunikations-Adresse des Objekt-Transponder (T) oder des zumindest einen Anker-Gateway (G1-G3) berücksichtigt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei zu einem ersten und einem zweiten Zeitpunkt jeweils sichere Distanzen (d_TWR) bestimmt werden, aus welchen eine Bewegungsgeschwindigkeit des Transponders (T) ermittelt wird, und die Bewegungsgeschwindigkeit mit einem vordefinierten Grenzwert verglichen wird.
Vorrichtung zur Bestimmung einer sicheren Distanz (d_TWR) nach dem TWR-Prinzip zwischen einem drahtlos kommunizierenden Objekt-Transponder (T) und zumindest einem Anker-Gateway (G1-G3), welche jeweils Mittel zur Erfassung von Zeitstempeln aufweisen, dadurch gekennzeichnet, dass die Schritte des Verfahrens nach einem der vorhergehenden Ansprüche ausgeführt werden.